Доменная авторизация в 1С: вход без ввода пароля через домен

Доменная авторизация — это вход в базу под тем же аккаунтом, под которым пользователь уже залогинен в Windows. Пароль 1С при этом не спрашивается: платформа берёт учётную запись домена из текущего сеанса операционной системы и сопоставляет её с пользователем базы. Частое заблуждение — что доменная авторизация «отключает пароль». На деле пароль никуда не девается, просто его проверяет контроллер домена при входе в Windows, а не 1С.

Работает механизм и в файловой базе, и в клиент-серверной. Настраивается он в карточке пользователя: там есть отдельный флажок аутентификации операционной системы и поле, куда подставляется доменная учётка. Ниже — как это включить, чем отличаются протоколы NTLM и Kerberos, как раздавать доступ через группы Active Directory и что делать, когда окно входа всё равно выскакивает.

Что такое доменная авторизация и как она работает

В 1С у каждого пользователя может быть включён один из двух способов входа (или оба сразу):

• 🔑 Аутентификация 1С:Предприятия — классический логин и пароль, которые хранит и проверяет сама база.
• 🖥️ Аутентификация операционной системы — вход по доменной учётной записи Windows без ввода пароля.

Когда вы запускаете 1cv8, платформа сначала пытается войти по учётке операционной системы. Она запрашивает у Windows, под кем открыт текущий сеанс, и ищет в базе пользователя, у которого включён вход по ОС и указан именно этот доменный аккаунт.

Нашла совпадение — база открывается молча, без окна логина. Не нашла — платформа показывает обычное окно ввода имени и пароля (если у кого-то из пользователей включена аутентификация 1С).

Важный нюанс: сопоставление идёт один доменный аккаунт — один пользователь базы. Платформа не умеет напрямую «привязать группу Active Directory к роли 1С». Группами вы управляете на стороне домена, а внутри базы каждому доменному пользователю заводите отдельную карточку.

NTLM или Kerberos: какой протокол выбрать

Саму проверку подлинности выполняет не 1С, а механизм Windows (SSPI). Он сам согласует с контроллером домена, какой протокол использовать — NTLM или Kerberos. Выбор между ними в интерфейсе 1С не задаётся, но понимать разницу стоит, потому что большинство проблем с доменным входом — именно на этом уровне.

Если вы видите, что вход работает только по NTLM, хотя машины в домене — это симптом проблемы с SPN или временем, а не штатный режим. Разберите причину, а не оставляйте как есть: NTLM считается устаревшим.

Проверить, какой протокол реально отработал, можно на стороне домена: в журнале безопасности контроллера событие входа покажет, использовался Kerberos или NTLM. Если видите NTLM там, где ждали Kerberos, начинайте с двух вещей — расхождение часов и регистрация имени сервиса (SPN). Эти две причины закрывают подавляющее большинство откатов на NTLM.

Что подготовить до настройки

Доменная авторизация завязана на инфраструктуру, поэтому до щелчков в Конфигураторе проверьте базовые вещи. Иначе настройка пройдёт «успешно», а вход работать не будет.

Отдельно про последний пункт. Никогда не переводите единственного администратора базы только на доменный вход. Если контроллер домена окажется недоступен или учётку заблокируют — вы потеряете административный доступ к базе. Всегда держите хотя бы одного админа со входом по паролю 1С.

Настройка доменной авторизации: пошагово

Включить доменный вход можно двумя путями — через Конфигуратор или через режим 1С:Предприятие (в типовых конфигурациях на библиотеке стандартных подсистем). Поля называются одинаково.

Через Конфигуратор:

1. Откройте Конфигуратор под администратором. Меню Администрирование → Пользователи.
2. Откройте карточку нужного пользователя (или создайте нового кнопкой «Добавить»).
3. Перейдите на вкладку Прочие.
4. Поставьте флажок Аутентификация операционной системы.
5. В поле «Пользователь ОС» нажмите кнопку выбора и укажите доменную учётку. Выбирайте её через встроенный диалог подбора из домена, а не вписывайте вручную — так вы не ошибётесь в формате имени.
6. Решите, оставлять ли флажок Аутентификация 1С:Предприятия. Если доменного входа достаточно — снимите его, чтобы пароль базы не был лазейкой.
7. Запишите изменения и обновите конфигурацию базы данных.

Через 1С:Предприятие (типовые конфигурации):

1. Раздел Администрирование → Настройки пользователей и прав → Пользователи.
2. Откройте карточку сотрудника.
3. Включите вход по учётной записи операционной системы и укажите доменный аккаунт через подбор.
4. Сохраните карточку.

После настройки проверьте: закройте 1С и запустите снова. База должна открыться без окна логина под текущей учёткой Windows. Если нужно принудительно потребовать доменный вход при запуске, используйте ключ командной строки /WA+, а чтобы наоборот запретить его и всегда показывать окно — /WA-.

Проверяйте вход не из-под своей администраторской сессии, а из-под рядовой доменной учётки на обычной рабочей станции. Под администратором домена вход нередко проходит и при кривой настройке, а у обычного пользователя всплывает окно логина. Заведите тестовую доменную учётку с минимальными правами и прогоняйте настройку на ней — так вы увидите ровно то, что увидят сотрудники.

Управление доступом через группы Active Directory

Соблазн большой: завести в Active Directory группу «Бухгалтерия» и одним движением дать всем её участникам доступ в 1С. Но платформа так не умеет — сопоставление в базе всегда персональное, учётка к учётке.

Группы AD всё равно полезны, просто роль у них другая:

• 📁 Организация учёток. В домене вы заводите и блокируете пользователей, назначаете групповые политики паролей, блокировок, срока действия. Уволили сотрудника — отключили доменную учётку, и вход в 1С у него пропал автоматически, даже если карточку в базе забыли удалить.
• 👥 Логика «кто есть кто». Группа домена подсказывает администратору базы, кому какие роли 1С назначать, но саму привязку он делает руками в карточках.
• 🔁 Пакетное заведение. В ряде типовых конфигураций есть инструмент групповой загрузки пользователей из домена — он создаёт карточки и проставляет доменные учётки списком. Точное название пункта зависит от конфигурации и её версии, ищите его в разделе администрирования пользователей.

Практический вывод: групповые политики AD отвечают за безопасность и жизненный цикл учёток, а раздача прав внутри базы (роли, профили групп доступа) остаётся за администратором 1С. Это две разные системы, и смешивать их не нужно.

Доменная авторизация в веб-клиенте и на сервере

В веб-клиенте доменный вход настраивается не только в 1С. Чтобы браузер прозрачно передал доменную учётку, нужно совпадение трёх условий:

1. На веб-сервере (IIS или Apache) для публикации базы включена встроенная проверка подлинности Windows, а анонимный доступ по возможности отключён.
2. У пользователя в базе включён вход по учётной записи ОС (как выше).
3. Браузер настроен передавать доменные учётные данные: адрес публикации добавлен в зону местной интрасети или доверенных узлов, включена сквозная проверка подлинности.

Для клиент-серверной базы помните про делегирование. Если цепочка идёт браузер → веб-сервер → сервер 1С, то Kerberos должен уметь передать учётку по всей цепочке. Для этого служба сервера 1С (агент) обычно запускается под доменной учётной записью, а для неё в домене зарегистрирован SPN и разрешено делегирование. Регистрацию SPN выполняют утилитой setspn; конкретные значения зависят от вашего имени сервера и порта, сверяйтесь с документацией по вашей версии платформы.

Типичные ошибки и их устранение

Почти все сбои доменного входа сводятся к одному: платформа не смогла сопоставить текущую учётку Windows с пользователем базы. Вот с чего начинать разбор.

Отдельно про опасный совет из интернета — «перезапустите службу сервера 1С, и всё заработает». ⚠️ Перезапуск службы обрывает сеансы всех пользователей и фоновые задания. Делайте это только в технологическое окно и только если проблема действительно в службе (например, сменился пароль её доменной учётки), а не для каждого случая.

Безопасность: как не ослабить защиту

Доменный вход сам по себе безопаснее пароля в базе — учётки централизованы, политики паролей и блокировок едины. Но несколько ошибок сводят выигрыш на нет.

• 🛡️ Снимайте аутентификацию 1С там, где достаточно доменной. Если у пользователя оставить оба способа, то утёкший или подобранный пароль базы станет обходным путём мимо всей доменной защиты.
• 🔐 Стремитесь к Kerberos, а не NTLM. Настройте SPN и синхронизацию времени так, чтобы вход шёл по Kerberos; NTLM оставляйте только как вынужденный резерв.
• 🚪 Держите аварийного администратора со входом по паролю 1С — на случай падения домена. Пароль у него должен быть длинный и храниться отдельно.
• 📉 Раздавайте роли по минимуму. Доменная авторизация решает вопрос «кто вошёл», но не «что ему можно». Права внутри базы настраивайте через профили групп доступа по принципу наименьших привилегий.
• 🧾 Ведите журнал. Регистрация входов в журнале регистрации 1С плюс аудит входов в домене дают полную картину, кто и когда работал в базе.

Частые вопросы